Microsoft cho rằng Storm-0940, nhóm tin tặc có liên hệ với Trung Quốc, đã sử dụng công cụ kiểm thử xâm nhập tích hợp AI để tấn công ConnectWise, từ đó xâm nhập hệ thống Microsoft 365 của một số khách hàng dùng Cloud Backup.
ConnectWise đã kiểm soát mối đe dọa và đang khôi phục dịch vụ theo từng giai đoạn. Tuy nhiên, CEO Manny Rivelo cảnh báo việc bảo vệ hệ thống ConnectWise không tự động loại bỏ các cửa hậu mà tin tặc có thể đã cài trong mạng của khách hàng.
- Microsoft xác định Storm-0940 sử dụng ARTEX để tự động hóa các hoạt động tấn công.
- Huntress xác nhận 162 môi trường Microsoft 365 của khách hàng đã bị xâm nhập trong giai đoạn điều tra được công bố.
- Khách hàng cần kiểm tra quyền ứng dụng, tài khoản quản trị và phiên đăng nhập để phát hiện khả năng tin tặc duy trì truy cập.
ConnectWise khôi phục dịch vụ sau khi kiểm soát vụ tấn công
ConnectWise đã tạm ngừng quyền truy cập Cloud Backup, SaaS Security và Cloud Management ngay khi phát hiện vụ tấn công. CEO Manny Rivelo sau đó xác nhận mối đe dọa đã được kiểm soát và dịch vụ đang được khôi phục từng bước.
Manny Rivelo cho biết các dấu hiệu đều hướng đến tin tặc được Trung Quốc hậu thuẫn trong vụ tấn công Cloud Backup. Tuy nhiên, biện pháp xử lý tại ConnectWise không xóa được cửa hậu trong những mạng khách hàng đã bị xâm nhập; các môi trường này cần được kiểm tra riêng.
Storm-0940 đã sử dụng AI để xâm nhập như thế nào?
Storm-0940 sử dụng ARTEX, một bộ công cụ kiểm thử xâm nhập mã nguồn mở có thể tích hợp mô hình AI, để tự động hóa hoạt động tấn công. Microsoft ghi nhận nhóm kết hợp công cụ AI với hạ tầng mạng đã dùng trong chiến dịch dò mật khẩu.
Microsoft nhận định Storm-0940 đứng sau vụ xâm nhập ConnectWise. Nhóm gián điệp mạng này hoạt động từ năm 2021, nhắm đến các lĩnh vực quốc phòng, hàng không vũ trụ, chính phủ, năng lượng, bán dẫn cùng nhiều doanh nghiệp và tổ chức phi lợi nhuận.
Trước khi xâm nhập Cloud Backup, Storm-0940 triển khai chiến dịch thử mật khẩu trên nhiều tài khoản, còn gọi là password spraying. Các mốc và số liệu Microsoft ghi nhận gồm:
| Giai đoạn hoặc chỉ số | Chi tiết được ghi nhận |
|---|---|
| Đợt dò mật khẩu | Kéo dài 4 ngày, đến ngày 14/10 |
| Phạm vi nhắm mục tiêu | 327 tài khoản Microsoft 365 và Exchange Online tại 8 công ty |
| Số lần đăng nhập thất bại | Hơn 151.000 lần |
| Tốc độ cao nhất | 2.900 lần đăng nhập mỗi phút |
| Chuyển sang tấn công ConnectWise | Ngày 15/10, sử dụng công cụ AI tự chủ và cùng hạ tầng mạng để xâm nhập Microsoft 365 của một số khách hàng Cloud Backup |
| Phạm vi xâm nhập do Huntress xác nhận | 162 môi trường Microsoft 365 của khách hàng trong giai đoạn điều tra được công bố |
Microsoft cho biết ARTEX cho phép người vận hành tích hợp mô hình AI để tự động hóa kiểm thử bảo mật. Công cụ có thể được cấu hình để tự thực hiện các tác vụ như trinh sát mạng và đánh cắp dữ liệu. Microsoft Threat Intelligence cũng nhận định ngày càng nhiều tin tặc sử dụng ARTEX để tăng cường hoạt động.
Quyền ứng dụng có thể giúp tin tặc duy trì truy cập
Storm-0940 có thể duy trì quyền truy cập đặc quyền bằng cách sửa thông tin xác thực ứng dụng, danh tính và vai trò quản trị. Microsoft cảnh báo những thay đổi này có thể tồn tại sau các bước xử lý bảo mật thông thường.
Trong một số hệ thống bị ảnh hưởng, Microsoft phát hiện các tác nhân AI sử dụng Microsoft Graph để dò tìm thông tin trong thư mục, can thiệp vào thông tin xác thực ứng dụng và thay đổi các vai trò có quyền cao. Một số môi trường khách hàng còn xuất hiện hoạt động tiếp diễn sau lần xâm nhập ban đầu.
Các phát hiện phản ánh rủi ro khi ứng dụng bên thứ ba có quyền truy cập sâu bị chiếm quyền: tin tặc có thể lợi dụng quyền của ứng dụng để tiếp cận những khu vực ngoài phạm vi sử dụng dự kiến.
Huntress cho biết tin tặc đã truy cập các môi trường Microsoft 365 của khách hàng bằng một thông tin xác thực bị đánh cắp qua ConnectWise Cloud Backup. Jon Semon, chuyên gia phân tích vận hành bảo mật cấp cao tại Huntress, mô tả quá trình phát hiện:
Một đối tác của Huntress đã báo cho chúng tôi về hoạt động đáng ngờ trong ứng dụng ConnectWise. Chúng tôi bắt đầu điều tra, và quá trình này nhanh chóng trở thành nỗ lực ứng phó khẩn cấp với sự tham gia của nhiều nhóm tại Huntress.
– Jon Semon, chuyên gia phân tích vận hành bảo mật cấp cao tại Huntress
Todyl, nền tảng bảo mật dành cho các nhà cung cấp dịch vụ quản lý, cũng báo cáo hệ thống bị nhắm mục tiêu. Theo Todyl, đối tượng tấn công đã đăng nhập vào môi trường Microsoft 365 bằng thông tin xác thực hợp lệ.
Igor Tsyganskiy, Phó chủ tịch điều hành Microsoft, nhận định đây chỉ là một trong nhiều vụ tấn công sử dụng AI mà công ty đã công bố chi tiết.
Khách hàng Cloud Backup cần kiểm tra những gì?
Các tổ chức sử dụng ConnectWise Cloud Backup cần kiểm tra đăng nhập bất thường, quyền ứng dụng trái phép và thay đổi ngoài dự kiến ở tài khoản quản trị Microsoft 365. Việc khôi phục dịch vụ không đủ để xác nhận môi trường khách hàng đã an toàn.
Đội ngũ bảo mật cần rà soát các phiên đang hoạt động, thay đổi thông tin xác thực có khả năng bị lộ, thu hồi token đáng ngờ và gỡ bỏ quyền truy cập không được cấp phép.
Các tổ chức có thể cần điều tra độc lập để xác định tin tặc còn giữ quyền truy cập hay không sau khi ConnectWise kiểm soát vụ xâm nhập ban đầu. Trọng tâm là những cơ chế duy trì truy cập có thể còn tồn tại trong môi trường Microsoft 365 và mạng khách hàng.
Tổng kết
Vụ tấn công ConnectWise cho thấy tin tặc có thể kết hợp công cụ AI với thông tin xác thực bị đánh cắp để xâm nhập và duy trì quyền truy cập Microsoft 365. Dù ConnectWise đã kiểm soát mối đe dọa, khách hàng vẫn cần kiểm tra riêng các tài khoản, quyền ứng dụng và phiên đăng nhập có nguy cơ bị chiếm dụng.
